Vai al contenuto
Avanet

Sophos Email: configurare Impersonation Protection e la protezione VIP

Sophos Email

Impersonation Protection rileva i messaggi in entrata che fingono di provenire da brand noti, persone importanti dell’organizzazione o contatti esterni rilevanti. Questi messaggi BEC spesso non contengono malware né link sospetti. La protezione integra quindi i controlli antispam, antimalware e sul mittente, ma non li sostituisce.

Procedura rapida e sicura: crea prima un elenco VIP verificato in Global Settings > Products and Services > Email > Business Email Compromise > Impersonation. Apri poi la Email Security Policy interessata in My Products > Email Security > Policies, controllane ambito e ordine e configura VIP Impersonation, Brand Impersonation e General Impersonation. Durante il pilot, la quarantena o uno Smart Banner sono più sicuri dell’eliminazione immediata. Confronta infine i test legittimi e sospetti in Message History.

Preparare ambito, stato iniziale e piano di test

Prima della modifica servono un responsabile dell’elenco VIP, una lista confermata di VIP interni ed esterni e le omonimie legittime note. Documenta nel change:

  • nome della policy, direzione Inbound, utenti, gruppi e domini assegnati;
  • ordine della policy, stato Policy is enforced e regole superiori;
  • stato e azioni di VIP Impersonation, Brand Impersonation, General Impersonation e Aggressive Mode;
  • azioni attuali degli Smart Banner e tag dell’oggetto;
  • risultati SPF, DKIM e DMARC pertinenti e sequenza Sender check visibile;
  • destinatario pilot, destinatario di controllo e risultati attesi;
  • rollback: ripristinare azioni, ordine e stato di applicazione precedenti.

L’assegnazione della policy fa parte della protezione. Impostazioni corrette non servono se interviene prima una regola più prioritaria o un altro ambito. La guida alle policy Sophos Email Security spiega come vengono valutati ambito e priorità.

Anche New domain/sender può aggiungere una classificazione. Il periodo di apprendimento va da 0 a 90 giorni, è di 14 giorni per impostazione predefinita e inizia con il primo messaggio in entrata del mittente. Le modifiche interessano i mittenti osservati per la prima volta. Questo controllo e SPF, DKIM o DMARC sono segnali correlati al mittente; non equivalgono al rilevamento VIP, brand o generale. Consulta la guida su autenticazione del mittente e Smart Banners.

Avvertenza:

Un’eccezione per un mittente legittimo non deve mai disattivare la scansione malware. Accerta prima rilevamento, corrispondenza della policy e header originali; solo dopo correggi eventualmente il controllo falso positivo nell’ambito minimo necessario.

Gestire l’elenco VIP in modo controllato

La VIP management list è condivisa dai domini protetti nello stesso account Sophos Central e contiene al massimo 1000 indirizzi email. I VIP interni sono persone dell’organizzazione particolarmente esposte all’impersonificazione. I VIP esterni sono persone importanti presso fornitori, clienti o partner. Non è possibile aggiungere un VIP interno come esterno.

Aggiungere singolarmente VIP interni ed esterni

  1. In Sophos Central, apri l’icona Global Settings e vai a Products and Services > Email > Business Email Compromise.
  2. Apri Impersonation e fai clic su Add VIP > Add VIPs nella VIP management list.
  3. Per una persona interna lascia selezionato Internal VIPs, cerca nome o indirizzo e fai clic su Save.
  4. Per un contatto esterno scegli External VIPs, inserisci nome e indirizzo verificati e fai clic su Save.
  5. Controlla che nome, indirizzo e tipo siano corretti nell’elenco.

Help find internal VIPs cerca utenti ad alto rischio in un servizio Active Directory connesso. Dati AD completi, come le qualifiche, migliorano i suggerimenti. I risultati aiutano la selezione, ma non costituiscono una lista autorizzata automaticamente: verifica ogni persona prima di fare clic su Add.

Importare, esportare o eliminare tramite CSV

Per molte voci usa Add VIP > Import VIPs, scarica prima i modelli e mantienine il formato. Il CSV deve essere in UTF-8. Le voci interne contengono solo l’indirizzo email; quelle esterne nome e indirizzo. Seleziona il file completato in Import VIP list > Browse, quindi avvia Import.

Avvertenza:

Replace existing list with this import rimuove definitivamente tutte le voci esistenti. Esporta prima l’intero elenco, controlla il numero e un campione e procedi solo con l’approvazione esplicita della sostituzione completa.

Durante l’esportazione seleziona consapevolmente singoli VIP o l’intera lista e conserva il CSV per il rollback. Per eliminare, seleziona i VIP, fai clic su Delete e conferma ancora Delete nella finestra. Dopo importazione o eliminazione, verifica direttamente in Sophos Central totale, tipi e un campione di voci critiche.

Configurare Impersonation Protection nella policy

In My Products > Email Security > Policies, apri la Email Security Policy prevista per il pilot. Prima della modifica, controlla ambito interno ed eventualmente esterno, direzione Inbound, ordine e stato Policy is enforced. Completa quindi la configurazione in quest’ordine:

  1. Attiva VIP Impersonation e seleziona Add banner o Quarantine come Action del pilot.
  2. Attiva facoltativamente Aggressive Mode se il piccolo gruppo pilot richiede esplicitamente una sensibilità maggiore.
  3. Attiva Brand Impersonation e seleziona l’azione pilot.
  4. Attiva General Impersonation e seleziona l’azione pilot.
  5. Ogni volta che selezioni Add banner, attiva secondo necessità le opzioni supportate Block sender e/o Report messages to Sophos. Per Tag subject line, inserisci un prefisso di massimo 65 caratteri.
  6. Attiva Policy is enforced se la policy pilot non è ancora attiva, quindi fai clic su Save. Riapri la policy e conferma che controlli, azioni e opzioni siano stati mantenuti.

VIP Impersonation combina normalmente corrispondenza dei nomi VIP, Machine Learning ed euristiche anti-phishing. La sola corrispondenza del nome non produce quindi necessariamente un rilevamento. Aggressive Mode riguarda solo VIP Impersonation e decide esclusivamente in base alle corrispondenze dei nomi VIP, incluse varianti approssimative, senza Machine Learning né euristiche. Aumenta anche il rischio di falsi positivi con nomi comuni; verifica quindi assistenti, recruiter, piattaforme di ticketing e altri mittenti legittimi del pilot che usano nomi VIP nel nome visualizzato.

Brand Impersonation rileva l’imitazione di brand o domini attaccati di frequente. Sophos analizza per impostazione predefinita i brand più abusati anche con elenco VIP vuoto. Questa procedura non aggiunge un brand personalizzato come VIP; inserisci invece come VIP esterni le persone importanti di un partner. General Impersonation usa Machine Learning ed euristiche anti-phishing per identificare imitazioni sospette senza un nome VIP o un brand frequentemente attaccato corrispondente.

Oltre a Add banner e Quarantine, sono disponibili Tag subject line e Delete; Delete elimina immediatamente il messaggio e va usato in produzione solo dopo un collaudo stabile e con un processo d’incidente documentato. Deliver è disponibile solo per General Impersonation.

Usare Smart Banners e quarantena in sicurezza

Con Add banner puoi offrire Block sender e Report messages to Sophos. Block Sender apre una pagina di conferma per la lista di blocco personale; Report invia il messaggio a SophosLabs e contribuisce a migliorare il rilevamento. Nei messaggi HTML compare uno Smart Banner grafico; in testo semplice, il testo appare all’inizio del corpo.

Un banner è uno strumento di avviso e segnalazione, non un verdetto di sicurezza. Solo gli amministratori possono rilasciare i messaggi di impersonificazione in quarantena e, per impostazione predefinita, gli utenti non li vedono né nel Self Service Portal né nel riepilogo quarantena. Prima di usare la quarantena in produzione, crea un processo amministrativo monitorato di verifica e rilascio.

Convalidare l’effetto in condizioni controllate

Non eseguire test impersonificando un vero dirigente verso utenti di produzione. Usa un’identità di test approvata, un destinatario pilot isolato e contenuti innocui. Registra ora, mittente, destinatario, nome visualizzato e Message-ID per ogni invio:

  1. email legittima di un VIP interno lungo il percorso previsto;
  2. email legittima di un VIP esterno con nome e mittente corretti;
  3. solo con Aggressive Mode attivo, una corrispondenza controllata del nome VIP da un indirizzo di test non attendibile;
  4. una normale email legittima di un brand e una variante innocua e approvata del brand come caso di osservazione;
  5. una variante innocua e approvata per General Impersonation come caso di osservazione;
  6. un messaggio legittimo con risultati SPF, DKIM e DMARC noti, più gli stessi casi al destinatario di controllo fuori ambito.

Riapri prima la policy salvata e conferma ambito, ordine, applicazione, i tre controlli, azioni, opzioni del banner e stato documentato di Aggressive Mode. Apri quindi ogni messaggio in Message History e confronta corrispondenza della policy, destinatario, categoria, dettagli Sender check o di autenticazione e azione con il registro di test. Per la consegna con banner controlla resa e azioni in HTML e testo semplice; per la quarantena, un amministratore controlla visibilità e percorso di rilascio.

Il pilot è superato se la configurazione salvata è riproducibile, i messaggi legittimi seguono il percorso atteso, il destinatario di controllo non viene coinvolto in modo inatteso e ogni messaggio effettivamente classificato come VIP, Brand o General Impersonation riceve l’azione scelta per la categoria. Solo la corrispondenza del nome con Aggressive Mode attivo è qui un test mirato del rilevamento VIP. I campioni sintetici Brand e General possono rimanere puliti perché Machine Learning ed euristiche ne determinano la classificazione; un mancato rilevamento non è un errore di configurazione né un motivo per indebolire altri controlli. Per una valutazione tracciabile di un risultato inatteso, apri un caso con Sophos Support e fornisci il registro di test.

Analizzare classificazioni errate e mancati rilevamenti

  • Un VIP interno non può essere aggiunto come esterno: è previsto. Usa la voce interna della directory e controlla indirizzo o Directory Sync.
  • CSV rifiutato o voci mancanti: controlla UTF-8, formato invariato del modello, campi indirizzo interni, campi nome-indirizzo esterni e limite di 1000 voci. Dopo un tentativo di sostituzione ripristina l’esportazione prima di altri import.
  • Email legittima attiva VIP Impersonation: verifica prima Aggressive Mode e la presenza di una corrispondenza esatta o approssimativa. Documenta poi ambito, mittente, nome visualizzato, header originali e autenticazione. Non creare un’allow rule ampia per il dominio.
  • Il rilevamento VIP atteso manca: in modalità normale il solo nome può non bloccare perché decidono anche Machine Learning ed euristiche. Controlla tipo e indirizzo VIP, applicazione, ambito, ordine e record effettivo in Message History.
  • Brand o General Impersonation si comporta in modo inatteso: conferma la categoria in Message History, non dedurla dal nome visibile. Un elenco VIP vuoto non disattiva la protezione dei brand.
  • Azione errata o banner mancante: verifica quale policy ha avuto la prima corrispondenza, quale rilevamento ha fornito la categoria e se il messaggio era HTML o testo semplice. Valuta separatamente Sender Authentication e New domain/sender.

Per un falso positivo conserva Message-ID, ora, mittente, destinatario, policy, categoria, azione e header originali, quindi seleziona Report as Not Spam in Message History, se disponibile. Segnala lì un messaggio sospetto consegnato con Report as Spam oppure usa Report nello Smart Banner. Invia inoltre un messaggio mirato di spear phishing o BEC non rilevato come allegato RFC-2822 completo a spearphish@labs.sophos.com; i normali campioni di spam, frode e phishing vanno a is-spam@labs.sophos.com. Non inviare lo stesso campione a entrambi gli indirizzi. Queste caselle per campioni non rispondono né creano un caso tracciabile. Se serve uno stato o una valutazione documentata, apri anche un caso con Sophos Support includendo Message-ID, ora di invio e casella di destinazione.

Per il rollback, ripristina le azioni e l’ordine precedenti documentati e, se necessario, lo stato di applicazione, quindi salva. Ripristina l’elenco VIP solo dall’ultima esportazione verificata. I messaggi già in quarantena vi restano dopo la modifica della policy; un amministratore deve esaminarli e rilasciarli o eliminarli singolarmente. Non disattivare scansione malware o altri livelli di protezione durante il rollback.